Neue Zlib-Schwachstelle im untgz-Utility ermöglicht DoS und Codeausführung

Eine kürzlich veröffentlichte Sicherheitsmeldung weist auf eine kritische Schwachstelle im untgz‑Utility hin, das die Zlib‑Bibliothek nutzt. Die Lücke erlaubt einem entfernten, anonymen Angreifer, einen Denial‑of‑Service‑Angriff zu starten oder beliebigen Programmcode auf dem betroffenen System auszuführen.

Technische Details

Die betroffene Komponente ist die Zlib‑Implementierung, die von untgz zum Entpacken von tar‑Archiven verwendet wird. Durch speziell präparierte Eingabedaten kann ein Angreifer einen Buffer‑Overflow auslösen, der zum Absturz des Prozesses führt oder die Ausführung von Schadcode ermöglicht.

Mögliche Folgen

Ein erfolgreicher Angriff kann die Verfügbarkeit von Diensten beeinträchtigen, da das betroffene Programm abstürzt. Im schlimmsten Fall kann der Angreifer über die ausgeführten Befehle vollständige Kontrolle über das System erlangen, was insbesondere in serverseitigen Umgebungen kritische Risiken birgt.

Angriffsvektor

Der Angreifer muss lediglich ein manipuliertes tar‑Archiv bereitstellen, das vom untgz‑Utility verarbeitet wird. Da das Tool häufig in automatisierten Skripten und Build‑Pipelines eingesetzt wird, kann die Lücke leicht ausgenutzt werden, ohne dass physischer Zugriff erforderlich ist.

Empfohlene Maßnahmen

Systemadministratoren sollten unverzüglich prüfen, ob die installierte Version des untgz‑Utility die betroffene Zlib‑Version enthält. Betroffene Installationen sind durch das Einspielen von Sicherheitsupdates des jeweiligen Anbieters zu patchen oder durch den Einsatz von alternativen Entpackungsprogrammen zu ersetzen. Zusätzlich wird empfohlen, Eingabedaten vor der Verarbeitung zu validieren.

Weiteres Vorgehen

Der CERT‑Bund wird die Entwicklung neuer Patches beobachten und weitere Hinweise zur Absicherung veröffentlichen. Benutzer, die das untgz‑Utility in sicherheitskritischen Umgebungen einsetzen, sollten die offiziellen Mitteilungen des Anbieters verfolgen und gegebenenfalls Rückfragen an den Support richten.

Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).